The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

03.05.2016 21:53  В OpenSSL и LibreSSL устранены опасные уязвимости

Доступны корректирующие выпуски OpenSSL 1.0.1t и 1.0.2h, в которых отмечено 6 уязвимостей, из которых опасность двух проблем оценена как высокая. Уязвимости также затрагивают LibreSSL, исправления для которого пока доступны в виде патча. В BoringSSL также устранены данные уязвимости.

Первая опасная уязвимость (CVE-2016-2108) проявляется только при наличии ошибки, которая была исправлена ещё в июне 2015 года в OpenSSL 1.0.2b, 1.0.1n и 1.0.0s. Несмотря на то, что проблема актуальна только для старых необновлённых версий, она затрагивает и пакеты в дистрибутивах, основанных на старых выпусках OpenSSL. В том числе уязвимости подвержены пакеты с openssl в Debian, RHEL/CentOS/Fedora, Ubuntu и SUSE, в которые исправление не было перенесено, так как оно было квалифицировано как устранение ошибки, а не уязвимости. Уязвимость приводит к возможности повреждения памяти кодировщика ASN.1 и записи данных вне границ буфера, что теоретически может быть использовано для организации исполнения кода злоумышленника при проверке, разборе и перекодировании специально оформленных сертификатов X509.

Вторая опасная уязвимость (CVE-2016-2107) позволяет организовать MITM-атаку по дешифровке защищённых соединений, в которых используется шифр AES CBC, если сервер поддерживает AES-NI. Уязвимость была внесена вместе с исправлением для блокирования атак CVE-2013-0169 по анализу добавочного заполнения (padding oracle). Проблема возникла из-за потери проверки размера данных, необходимого для MAC и добавочного заполнения.

Из неопасных уязвимостей (CVE-2016-2105, CVE-2016-2106) отмечаются переполнения буфера при кодировании очень больших блоков в функциях EVP_EncodeUpdate() и EVP_EncryptUpdate(). Так как данные функции используются для внутренних целей в инструментарии командной строки, то эксплуатация уязвимостей отмечена как маловероятная из-за наличия в утилитах дополнительных проверок размера передаваемых данных, блокирующих атаку.

Проблема CVE-2016-2109 связана с возможностью осуществления отказа в обслуживании через израсходование всей доступной процессу памяти при обработке определённых данных ASN.1 в функциях BIO.

Уязвимость CVE-2016-2176 позволяет вернуть в буфере произвольные данные из стека при обработке строк ASN1 длинее 1024 байтов в функции X509_NAME_oneline() на системах EBCDIC.

  1. Главная ссылка к новости (http://permalink.gmane.org/gma...)
  2. OpenNews: Спецслужбы Германии опубликовали результаты аудита OpenSSL
  3. OpenNews: Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей
  4. OpenNews: Google перешел c OpenSSL на BoringSSL
  5. OpenNews: Обновление OpenSSL 1.0.2b, 1.0.1n, 1.0.0s и 0.9.8zg. Выпуск GnuPG 2.1.5
  6. OpenNews: Критическая уязвимость в OpenSSL
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: openssl, libressl, ssl
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Линейный вид | Ajax | Показать все | RSS
 
  • 1.1, Аноним, 22:02, 03/05/2016 [ответить] [смотреть все]
  • –1 +/
    А что там насчет BoringSsl
     
     
  • 2.4, Аноним, 22:15, 03/05/2016 [^] [ответить] [смотреть все] [показать ветку]
  • +/
    Судя по коммитам в
    https://boringssl.googlesource.com/boringssl/ дыры есть.
     
     
  • 3.23, Аноним, 10:33, 04/05/2016 [^] [ответить] [смотреть все]
  • +2 +/
    Хехе, видимо не помогли гуглу их крутые фузеры и санитайзеры
     
  • 1.2, grsec, 22:10, 03/05/2016 [ответить] [смотреть все]
  • –4 +/
    Опять обновляться. Задолбали.
     
     
  • 2.3, Аноним, 22:12, 03/05/2016 [^] [ответить] [смотреть все] [показать ветку]
  • +8 +/
    ты небось и купаться ходишь раз в год в четверг перед пасхой?
     
     
  • 3.5, grsec, 22:18, 03/05/2016 [^] [ответить] [смотреть все]  
  • –2 +/
    Что бы тебе Чаплин приснился.
     
     
  • 4.7, Аноним, 22:24, 03/05/2016 [^] [ответить] [смотреть все]  
  • +4 +/
    Чарли Чаплин ?
     
     
  • 5.13, Аноним, 01:49, 04/05/2016 [^] [ответить] [смотреть все]  
  • –2 +/
    Если говорить на понятном тебе языке - Володька.
     
     
  • 6.18, Какаянахренразница, 06:05, 04/05/2016 [^] [ответить] [смотреть все]  
  • –3 +/
    Чтобы было понятно, нужна подпольная кличка В списках завербованный ФСБ он под ... весь текст скрыт [показать]
     
  • 3.6, Буратино, 22:22, 03/05/2016 [^] [ответить] [смотреть все]  
  • +2 +/
    Ты смотри, аккуратней юмори, а то он тебя забанит повсюду.
     
  • 2.10, Анончег, 22:39, 03/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +2 +/
    надо же, кто бы мог предположить, что как раз Дебиян ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.14, Аноним, 01:51, 04/05/2016 [^] [ответить] [смотреть все]  
  • –2 +/
    Сарказм - самая примитивная форма юмора Итого, критика есть, как на счёт предло... весь текст скрыт [показать]
     
  • 1.8, iZEN, 22:35, 03/05/2016 [ответить] [смотреть все]  
  • +2 +/
    Во FreeBSD 10-STABLE исправления добавили 5 минут назад.
     
     
  • 2.31, Michael Shigorin, 15:33, 04/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    http packages altlinux org openssl... весь текст скрыт [показать] [показать ветку]
     
  • 1.9, Ilya Indigo, 22:36, 03/05/2016 [ответить] [смотреть все]  
  • –1 +/
    Ждём прилёта openssl-1.0.2h в зелёнке, а также пересобранных apache2, php5, php7 и конечно же openssh-6.6p1
     
     
  • 2.12, Аноним, 23:18, 03/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    А зачем их пересобирать Или разделяемые библиотеки уже не в моде ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.15, Аноним, 01:59, 04/05/2016 [^] [ответить] [смотреть все]  
  • +/
    Безотносительно ОС и дистрибутивов Так библиотеки зачастую разделяемые между ст... весь текст скрыт [показать]
     
     
  • 4.16, Аноним, 02:05, 04/05/2016 [^] [ответить] [смотреть все]  
  • –2 +/
    Блин Я и забыл про маразм с симлинками в Опёнке их нет Молчу, молчу o_O ... весь текст скрыт [показать]
     
  • 1.11, Аноним, 23:10, 03/05/2016 [ответить] [смотреть все]  
  • +/
    Хм, в Debian Jessie тоже прилетел апдейт. Несмотря на текст новости.
     
  • 1.17, бедный буратино, 05:28, 04/05/2016 [ответить] [смотреть все]  
  • +/
    два дня вялотекущим образом собирал образы -stable для i386 и amd64... и вот.

    да ну вас! нет никаких уязвимостей, враки это всё! не буду ничего пересобирать.

     
  • 1.19, Вареник, 06:25, 04/05/2016 [ответить] [смотреть все]  
  • +1 +/
    Самый важный компонент сетевой безопасности - самый дырявый...

    Все в соответствии с Мерфи и Паркинсоном.

     
     
  • 2.21, Аноним, 07:58, 04/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    А король то голый Не с проста последние годы очень активно навязывают переход в... весь текст скрыт [показать] [показать ветку]
     
  • 1.20, Аноним, 07:51, 04/05/2016 [ответить] [смотреть все]  
  • –4 +/
    Опять повреждение памяти и выход за границы массива Пора уже взять за правило п... весь текст скрыт [показать]
     
     
  • 2.24, Аноним, 11:35, 04/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    клоун Специально для тебя объясняю проблемы с памятью является неизбежными, не... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.25, Аноним, 13:09, 04/05/2016 [^] [ответить] [смотреть все]  
  • –2 +/
    Неа В это случае уменьшается количество точек отказа Сравни исправление ошибк... весь текст скрыт [показать]
     
  • 3.27, Аноним, 13:59, 04/05/2016 [^] [ответить] [смотреть все]  
  • +/
    Надеюсь, хоть с умным видом писалось Ну да, у GC и куча всяких проверок в ранта... весь текст скрыт [показать]
     
     
  • 4.30, Аноним, 15:29, 04/05/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    клоун Типичные ошибки по работе с памятью в ЯП, который сам управляет памятью ... весь текст скрыт [показать]
     
     
  • 5.32, Аноним, 16:02, 04/05/2016 [^] [ответить] [смотреть все]  
  • +/
    Это в какой вселенной они типичные А ошибка при записи данных будет проигнориро... весь текст скрыт [показать]
     
     
  • 6.33, Аноним, 16:30, 04/05/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    клоун ЯП, управляющий памятью должен обработать последовательность команд 1 с... весь текст скрыт [показать]
     
     
  • 7.36, Аноним, 16:55, 04/05/2016 [^] [ответить] [смотреть все]  
  • +/
    В параллельных вселенных и сферических юзкейзах вполне возможно Но обычно наро... весь текст скрыт [показать]
     
     
  • 8.37, Аноним, 17:00, 04/05/2016 [^] [ответить] [смотреть все]  
  • +/
    Обычно таки народу нужно хранить элементы Причем, продвинутые даже вполне могут... весь текст скрыт [показать]
     
     ....нить скрыта, показать (8)

  • 1.22, robux, 08:27, 04/05/2016 [ответить] [смотреть все]  
  • +/
    Что характерно, все дыры пасутся на высоком уровне: либо в SSL, либо в стандартизированных форматах хранения сертификатов.

    Какой вывод напрашивается?
    Используй низкоуровневые функции и не используй всякие мутные "стандарты"!

    (Сначала проленятся, насуют себе полную ж-пу ISO-шных стандартов, а потом удивляются, что там сифонит).

     
     
  • 2.28, Аноним, 14:54, 04/05/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • –3 +/
    Подскажите-ка низкоуровневую либу для шифрования, да такую, чтоб не сифонило, ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.29, Аноним, 15:18, 04/05/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    libsodium не ... весь текст скрыт [показать]
     
  • 3.35, robux, 16:48, 04/05/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    > Подскажите-ка "низкоуровневую" либу для шифрования

    При чём здесь "низкоуровневая либа"?
    Я сказал низкоуровневые функции!

    А либа всё та же самая - OpenSSL (или LibreSSL, по вкусу).

     
  • 1.26, Аноним, 13:27, 04/05/2016 [ответить] [смотреть все]  
  • +/
    Если что, то в debian7 версия 1.0.1k-3+deb8u5, а не та что в шапке.
     
  • 1.34, КО, 16:43, 04/05/2016 [ответить] [смотреть все]  
  • +/
    >Уязвимость была внесена вместе с исправлением для блокирования атак

    Змей поедающий свой хвост. :)

     
  • 1.38, Аноним, 21:14, 05/05/2016 [ответить] [смотреть все]  
  • –2 +/
    Вся суть штабильной тухлятины и цирка с бэкпортированием из апстрима JWZ был пр... весь текст скрыт [показать]
     
  • 1.40, Аноним, 11:21, 06/05/2016 [ответить] [смотреть все]  
  • +/
    FreeBSD вчера выкатили обновления https www freebsd org security advisories Fr... весь текст скрыт [показать]
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor